Kubernetes RBAC授权功能三类核心技术问题咨询

1. 请问rbac.authorization.k8s.io是什么？它是否只是RBAC运行所依赖的API版本？ #

rbac.authorization.k8s.io是Kubernetes中的一个API组，专门用于管理基于角色的访问控制（RBAC）相关的资源与规则。它包含Role、ClusterRole、RoleBinding、ClusterRoleBinding等核心RBAC资源的定义，并非单纯的API版本。

在Kubernetes体系中，API组是一组关联API的集合，每个组下可包含多个API版本（如rbac.authorization.k8s.io/v1），用于迭代更新API的特性与结构。这个API组是RBAC功能的核心载体，所有RBAC相关的操作、资源都归属于它。

2. 当执行RBAC命令（例如创建Role）时，请求是发送至主节点处理还是在本地节点完成？该流程具体是如何运作的？ #

所有RBAC相关请求（包括创建Role）都会发送至主节点的kube-apiserver处理，本地节点不会直接处理这类请求，具体流程如下：

• 用户通过kubectl或其他客户端工具发送创建Role的请求到kube-apiserver；
• kube-apiserver首先完成认证：验证发起请求的用户身份合法性（如通过证书、Token等方式）；
• 接着执行授权检查：确认该用户拥有创建Role的权限（通过已有的RBAC规则或其他授权模块）；
• 授权通过后，apiserver将Role对象信息写入etcd集群进行持久化存储；
• kube-controller-manager中的RBAC控制器会监听etcd中RBAC资源的变化，确保权限规则在集群中生效；
• 最后apiserver将创建成功的响应返回给用户。

3. 什么是API组？在定义Role时要求填写该字段，它具体指代什么？例如apiGroups: [""]的含义是什么？ #

API组是Kubernetes为分类管理不同功能API设计的分组机制，每个API组对应一类功能关联的资源。比如apps组负责Deployment、StatefulSet等工作负载资源，rbac.authorization.k8s.io组负责RBAC相关资源，以此实现API的模块化与版本化管理。

在定义Role时，apiGroups字段用于指定该Role的权限作用于哪个（或哪些）API组的资源上。不同资源属于不同API组，只有指定正确的API组，Role的权限规则才能匹配到对应的资源。

apiGroups: [""]代表Kubernetes的核心API组（也叫传统核心组），这类组下的资源没有显式组名标识，比如Pods、Services、ConfigMaps、Secrets等最基础的Kubernetes资源都属于这个组。

内容的提问来源于stack exchange，提问作者jssteele89